LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor DriveSurge-Kampagnen, die über tausende kompromittierte Websites gefälschte Browser-Updates und ClickFix-Kommandos ausspielen. Dahinter steht ein Traffic-Distribution-System namens zTDS, das Besucher profilbasiert umleitet und passende Lures verteilt. Besonders kritisch: Die Kettenangriffe funktionieren als „Initial Access Broker“ im Pay-per-Install-Modell. Dadurch können Folgeangriffe praktisch skalieren, während betroffene Seitenbetreiber oft lange nichts bemerken.
DriveSurge zeigt, wie professionell organisierte Angreifer heute den „Weg zum Opfer“ industrialisieren: Über tausende kompromittierte Websites lenkt der Threat Actor Besucher in eine Schadsoftware-Verteilung, ohne dass die Betreiber oder die Nutzer das sofort merken. Im Kern geht es um zwei Social-Engineering-Mechaniken, die im Browser-Umfeld besonders gut zünden: ClickFix, bei dem Opfer dazu gebracht werden, vermeintlich harmlose Kommandos zu kopieren und auszuführen, und FakeUpdates, bei dem gefälschte Update-Dialoge echte Installationsroutinen imitieren. Für Unternehmen wird damit weniger ein einzelner Exploit zum Problem, sondern die gesamte Lieferkette bis zur Nutzeraktion.
Technisch basiert die Kampagne laut den Analysen auf einem Traffic-Distribution-System (TDS) namens zTDS. Das System profiliert eingehende Besucher und entscheidet anschließend, ob ihnen FakeUpdates oder ClickFix-Lures angezeigt werden. zTDS ist Open Source und existiert nach den Angaben mindestens seit 2015; DriveSurge nutzte es demnach spätestens ab September 2025. Diese Wiederverwendbarkeit ist ein wichtiges Detail: Wo früher proprietäre Umgehungslogik dominierte, können heute modularisierte TDS-Stacks den Angriffsaufbau beschleunigen. Ein solcher Switch nach Zielprofil senkt die Streuverluste und erhöht die Wahrscheinlichkeit für eine erfolgreiche Installation.
Für die Erkennungs- und Abwehrseite ist entscheidend, dass die Lures mehrere Plattformen und Browser abdecken. Die FakeUpdates-Routen enthalten gefälschte Update-Hinweise für gängige Browser und Umfelder wie Chrome, Firefox, Edge, Safari, Opera und weitere, inklusive Varianten, die Nutzer in unterschiedlichen Ökosystemen täglich sehen. Die ClickFix-Varianten hingegen arbeiten häufig mit PowerShell-Kommandos, die auf Windows besonders gut passen und in die Nutzerumgebung „hineinspielen“. In einem herausgehobenen Fall wurde eine gefälschte Firefox-Update-Nachricht beschrieben, die ein ZIP-Archiv mit mehreren DLLs und einer schädlichen ausführbaren Datei („Browser Update.exe“) nachlädt. Damit verschiebt sich das Risiko von „nur Browser“ hin zu konkreter Post-Exploitation-Weitergabe.
DriveSurge wird darüber hinaus als Initial-Access-Broker (IAB) eingeordnet, der im Pay-per-Install (PPI)-Modell arbeitet. Genau diese Rolle macht die Kampagne für den Markt besonders unbequem: Sie ist nicht nur ein einzelnes Angriffsprojekt, sondern eher eine vermarktbare Infrastruktur, die Folgeakteure mit Zugang und Nutzerdaten zur Verfügung stellt. Vergleichbare Mechanismen kennt man aus anderen großen Malvertising- und Redirect-Ökosystemen, die Security-Teams aus täglichen Telemetrie-Patterns wiedererkennen. Branchenexperten weisen zudem darauf hin, dass PPI-Modelle die Motivation erhöhen, die „Conversion Rate“ zu optimieren, beispielsweise durch zielgerichtete Lures, saubere Übergaben und minimierte Artefakte in Zwischenschichten.
Ein weiterer Hebel liegt in den beschriebenen technischen Fingerprints: Unter anderem wird eine JavaScript-Injection beobachtet, die einem Muster folgt wie „t.js?site=“, wobei für eine eindeutige Kennung pro kompromittierter Website steht. Solche strukturellen Anker helfen in der Praxis bei der Infrastrukturidentifikation, weil sie sich über mehrere Kampagnen hinweg wiederholen können. Die Forscher fanden zudem über 80 bösartige Injektions-Domains sowie vorab präparierte Domains, die noch nicht aktiv genutzt wurden. Für die Incident Response bedeutet das: Frühwarnungen sind möglich, wenn Telemetrie und DNS/Proxy-Logs nicht nur auf „eindeutig bekannte Malware“, sondern auch auf injektionsnahe Muster ausgerichtet sind.
Auch jenseits von Windows wird es konkret: Es wird beschrieben, dass ein obfuskiertes JavaScript-Payload gezielt macOS-Desktop-Systeme anspricht. Diese Payload wird über ClickFix-Abläufe übertragen, die in den Analysen als „verification-themed“ charakterisiert werden und dabei unter anderem die Zwischenablage (Clipboard) kapern. Damit entsteht eine Multi-Plattform-Kampagne, die weniger mit einem klassischen Exploit, sondern stärker mit Benutzerinteraktion und OS-Integration arbeitet. Für Security-Teams ist das ein Hinweis, dass Schutzkonzepte wie Browserschutz allein nicht ausreichen, wenn Social-Engineering-Phasen bewusst auf Copy-and-Execute-Workflows optimiert werden.
Im Marktbild rückt damit auch die Frage in den Vordergrund, wie gut Cloud- und Browser-spezifische Kontrollen „Ende-zu-Ende“ denken. Viele automatisierte Pentest-Tools liefern zwar wertvolle Ergebnisse, beantworten aber oft nur die Frage, ob ein Angreifer sich lateral bewegen kann—nicht aber, ob Schutzregeln echte Nutzeraktionen wirksam abfangen, ob Detektions-Schwellen korrekt auslösen oder ob Cloud-Konfigurationen bei Datenabfluss und Payload-Downloads stabil bleiben. Genau an diesen Schnittstellen versagen Kontrollen häufig, weil die Attack Chain aus Redirects, Lures und temporären Ausführungen besteht. Gleichzeitig steigert ein solcher Ansatz den Druck auf Security-Anbieter, ihre Telemetrie-Korrelation zwischen Web-Events, Endpoint-Verhalten und Netzwerkpfaden enger zu verzahnen.
Regulatorisch und datenschutzseitig spielt in diesem Zusammenhang weniger die Malware selbst als die proaktive Minimierung von Risiko und die saubere Governance eine Rolle. Wenn Unternehmen kompromittierte Nutzerpfade erkennen oder blocken, müssen sie zugleich sicherstellen, dass Logdaten und Telemetrie in Einklang mit internen Richtlinien und relevanten Datenschutzanforderungen verarbeitet werden. Besonders bei Profiling-Elementen in TDS-Systemen ist wichtig, dass Schutzmaßnahmen nicht ihrerseits unzulässiges Nutzerprofiling vorantreiben, sondern auf sicherheitsrelevante Signale fokussieren. Für die Praxis heißt das: kontrollierte Auswertung, Zweckbindung und eine klare Dokumentation der Sicherheitsinteressen.
Als unmittelbare Empfehlung raten die Forscher, Browser-Updates nur über die jeweiligen App-Einstellungen anzustoßen (zum Beispiel „About“ und „Check for Updates“) und keine nicht verstandenen Kommandos in Windows Command Prompt oder Terminal auszuführen. Darüber hinaus sollten Unternehmen prüfen, ob ihre Endpoint-Schutzmechanismen Copy-and-Execute-Verhalten sowie Clipboard-Manipulation zuverlässig unterbinden. Technisch lohnt sich zudem eine „Traceability“ über Systemgrenzen hinweg: DNS- und Proxy-Logs für verdächtige Redirect-Ketten, Browser- und Download-Telemetrie für verdächtige Archive und Endpoint-Signale für DLL- und Prozessanbahnung. In den nächsten Monaten ist zu erwarten, dass solche TDS-Frameworks weiter verbreitet werden, weil Open-Source-Komponenten den Einstieg senken und IAB-Modelle Kampagnen planbarer machen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "DriveSurge missbraucht zTDS für ClickFix- und FakeUpdates-Angriffe" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "DriveSurge missbraucht zTDS für ClickFix- und FakeUpdates-Angriffe" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »DriveSurge missbraucht zTDS für ClickFix- und FakeUpdates-Angriffe« bei Google Deutschland suchen, bei Bing oder Google News!